اواسپ

پروژه امنیت نرم‌افزاری تحت وب (به انگلیسی: Open Web Application Security Project) (به اختصار:OWASP)، یک انجمن آنلاین است که مقالات، روش‌ها، اسناد، ابزارها و فناوری‌های آزاد در زمینه امنیت وب را تولید می‌کند.

 تاریخچه 
مارک کرپی، اواسپ را در تاریخ نهم سپتامبر ۲۰۰۱ بنیان نهاد. جف ویلیامز از اواخر سال ۲۰۰۳ تا سپتامبر ۲۰۱۱ به عنوان داوطلب ریاست هیئت مدیره اواسپ را برعهده داشت. از سال ۲۰۱۵، مت کوندا ریاست هیئت مدیره را تقبل کرد.Board . OWASP. Retrieved on 2015-02-27.

بنیاد اواسپ، سازمانی غیرانتفاعی از نوع ۵۰۱(سی)(۳) (در ایالات متحده آمریکا) که در سال ۲۰۰۴ تأسیس شد، از زیرساخت‌ها و پروژه‌های این سازمان پشتیبانی می‌کند. از سال ۲۰۱۱، OWASP نیز به عنوان یک سازمان غیرانتفاعی در بلژیک تحت نام OWASP Europe VZW ثبت شده‌است.OWASP Europe , OWASP، 2016

 انتشارات و منابع 
 پروژه ۱۰ آسیب‌پذیری اول نرم‌افزارهای تحت وب که اولین بار در سال ۲۰۰۳ منتشر شد، به‌طور مرتب به روزرسانی می‌شود.OWASP ده پروژه برتر در owasp.org هدف آن ارتقاء آگاهی دربارهٔ امنیت نرم‌افزارها با شناسایی برخی از مهم‌ترین خطرات سازمان است. بسیاری از استانداردها، کتاب‌ها، ابزارها و سازمان‌ها به این پروژه اشاره دارند از جمله PCI DSS, MITRE آژانس سیستم‌های اطلاعاتی ( DISA-STIG), کمیسیون تجاری فدرال ایالات متحده (FTC) و بسیار بیشتر.
 مدل بلوغ اطمینان نرم‌افزاری اواسپ: مدل بلوغ اطمینان نرم‌افزاری (SAMM) متعهد به ایجاد یک چارچوب قابل استفاده برای کمک به سازماندهی و تدوین یک استراتژی برای امنیت نرم‌افزار است که به خطرات خاص کسب و کار سازمان مربوط می‌شود.
 راهنمای توسعه اواسپ: راهنمای توسعه فراهم‌کننده راهنمایی‌های عملی شامل J2EE, ASP. NET و نمونه کد PHP است. راهنمای توسعه مجموعه گسترده‌ای از مسائل مربوط به امنیت در سطح نرم‌افزار را پوشش می‌دهد از تزریق SQL تا نگرانی‌های مدرن مانند فیشینگ، اداره کارت اعتباری، تداوم جلسات، جعل درخواست میان وب‌گاهی، توافق و مسائل مربوط به حریم خصوصی.
 راهنمای تست نفوذپذیری اواسپ: راهنمای تست نفوذپذیری اواسپ شامل چارچوب تست نفوذ "تجربه برتر" که کاربران می‌توانند در سازمان‌های خود پیاده‌سازی کنند و یک راهنمای تست نفوذ "سطح پایین" است که تکنیک‌هایی را برای تست رایج‌ترین نرم‌افزارهای تحت وب و مسائل امنیتی مربوط به خدمات وب ارائه می‌دهد. نسخه ۴ آن در سپتامبر ۲۰۱۴ با درون‌داد ۶۰ نفر منتشر شد.
 راهنمای بررسی کد اواسپ: راهنمای بررسی کد در حال حاضر در نسخه ۲ و در ژوئیه ۲۰۱۷ منتشر شد.
 استاندارد تأیید امنیتی (ASVS) اواسپ: یک استاندارد برای اجرای بررسی‌های امنیتی در سطح نرم‌افزار.
 دروازه امنیتی XML اواسپ (XSG) یا معیارهای ارزیابی پروژه.
 پروژه ۱۰ راهنمای ارزیابی حوادث اواسپ: این پروژه یک رویکرد پیشگیرانه برای برنامه‌ریزی خطرات حوادث فراهم می‌کند. مخاطب مورد نظر این سند شامل صاحبان کسب‌وکار برای مهندسان امنیت، توسعه دهندگان، حسابرسی، مدیران برنامه، اجرای قانون و شورای حقوقی است.
 پروژه ZAP اواسپ (The Zed Attack Proxy یا به اختصار ZAP): یک ابزار تست نفوذپذیری مجتمع، با قابلیت استفاده آسان برای یافتن حفره‌های آسیب‌پذیری در نرم‌افزارهای تحت وب است. این ابزار طراحی شده‌است تا توسط افراد با طیف گسترده‌ای از تجربه امنیتی از جمله توسعه دهندگان و ارزیابنده‌های عملکردی که به تازگی با تست نفوذ آشنا شده‌اند مورد استفاده قرارگیرد.
 Webgoat: یک نرم‌افزار تحت وب که توسط اواسپ عمداً ناامن ایجاد شده‌است تا به عنوان یک راهنما برای شیوه‌های برنامه‌نویسی امن مورد استفاده قرارگیرد. پس از دانلود، نرم‌افزار با آموختار و مجموعه‌ای از درس‌های مختلف همراه است که به دانشجویان نحوه بهره‌برداری از آسیب‌پذیری‌ها را آموزش می‌دهد. هدف این است که نحوه نوشتن ایمن کد را به آن‌ها بیاموزد.
 جریان امنیت نرم‌افزاری اواسپ: این پروژه یک محل برای یافتن اطلاعات مورد نیاز جهت افزایش سرعت و اتوماسیون برنامه‌های امنیتی نرم‌افزار است. جریان‌های امنیت نرم‌افزاری، اصول دواپس را بر عهده می‌گیرند و آن را به برنامه امنیتی نرم‌افزار اعمال می‌کنند.
 تهدیدات خودکار اواسپ برای نرم‌افزارهای کاربردی تحت وب: هدف از پروژه تهدیدات خودکار اواسپ برای نرم‌افزارهای کاربردی تحت وب، که در ژوئیه ۲۰۱۵ منتشر شده‌است، فراهم کردن اطلاعات قطعی و دیگر منابع برای معماران، توسعه دهندگان، ارزیابندگان و دیگران است تا به دفاع از تهدیدات خودکاری چون تهیه اعتبار کمک کنند. نمای کلی این پروژه ۲۰ تهدید به صورت خودکار توسط اواسپ تعریف می‌کند.لیست وقایع تهدید خودکار

 جوایز 
سازمان اواسپ جایزه SC Magazine Editor's Choice را در سال ۲۰۱۴ میلادی دریافت کرد.

 جستارهای وابسته 
 پروژه Metasploit
 w3af

 منابع 

 پیوند به بیرون 


رده:استانداردهای رایانه
رده:امنیت شبکه‌های رایانه‌ای
رده:بنیان‌گذاری‌های ۲۰۰۱ (میلادی) در بلژیک
رده:بهره‌جوهای امنیتی وب
رده:سازمان‌های امنیت رایانه‌ای
رده:سازمان‌های بنیان‌گذاری‌شده در ۲۰۰۱ (میلادی)
رده:سازمان‌های ناسودبر ۵۰۱ (سی)(۳)
رده:صفحات با ترجمه بازبینی‌نشده